Una soluzione per proteggere da possibili attacchi di cross-site scripting.
Window Snyder, responsabile del settore sicurezza Mozilla, ha dichiarato che il gestore del protocollo jar: sarà presto corretto per porre fine ad alcune problematiche che minacciano gli utenti di Firefox.
Secondo quanto spiegato da Snyder, un aggressore potrebbe sfruttare una vulnerabilità di sicurezza del browser opensource caricando su un sito web “fidato” (che consenta l’effettuazione di questo tipo di operazione) un archivio zip. La vittima che, incautamente, cliccherà sul file zip, presente sul sito web “fidato”, potrebbe quindi vedersi sottrarre informazioni importanti legate al sito web in corso di visita.
Si tratta di un attacco “cross-site scripting” che un malintenzionato può mettere in atto in forza della mancata validazione operata da Firefox sulla tipologia dell’archivio. Una seconda problematica è legata all’uso di redirect: se il file zip viene caricato da un sito web, attraverso un reindirizzamento, l’oggetto verrà trattato come se appartenesse al sito web di partenza.
L’aggressore, in questo caso, potrebbe trarre vantaggio da siti web che offrono la possibilità di effettuare liberamente redirect od ospitare gratuitamente contenuti caricati dall’utente. E’ ad esempio ben conosciuta una dimostrazione basata sull’utilizzo di GMail. In questo caso l’aggressore, utilizzando le tecniche sopra illustrate, può divenire in grado di leggere, ad esempio, la lista dei contatti memorizzata in GMail. A partire dalla versione 2.0.0.10 di Firefox, attualmente in fase di testing, il browser supporterà lo schema “jar” solamente per i file che impiegato il tipo MIME corretto (application/java-archive).
La nuova versione del browser, inoltre, integrerà importanti modifiche che consentiranno, nel caso di reindirizzamenti, di considerare il sito web finale come quello di origine per il file che si sta scaricando.
